[시큐리티 Q&A] 이메일에 의한 APT공격 대응방안 BIG 3

Q. 국가기관이나 기업을 타깃으로 한 APT 공격 상당수는 이메일로 악성코드 삽입 문서를 첨부해 보내는 방법(스피어피싱)으로 진행되는 것으로 알고 있다. 첨부문서를 열지 않는 것 외에 대응할 수 있는 방법이 있는 것인가?

A-1. 고객들을 만나보면, 많이 받는 질문중에 하나가 악성으로 탐지된 이메일에 대한 조치 방안이다. 필자의 대답은 항상, ‘격리 및 차단’이다. 사용자의 인터넷 트래픽을 모니터링 하는 장비라면, inline상에서 직접적인 차단 정책을 설정한다는 것은, 장애가 발생할 수 있는 위험성이 있기 때문에 조심스러울 수밖에 없다. 또한, 보안솔루션이 위치하는 자리가 기존 네트워크의 중간이라면, 네트워크 지연(latency) 등에 대한 추가적인 고민도 관리자 입장에서는 할 수밖에 없을 것이다.

하지만 이메일의 경우는 관점을 달리 보는 것이 맞다. 네트워크의 경우, 응답이 몇 초만 늦어져도 사용자는 장애로 인식을 하고, 답답함을 느끼게 되지만, 이메일은 Latency에 민감한 서비스가 아니다.

메일이 실제 1분정도 늦게 전달되었다고 해서 이메일 서비스에 장애가 생겼다고 인지하지는 않는다는 것이다. 더욱이 검사 대상이 APT와 같은 ‘지능형 지속공격’이라면 단순히 탐지만 하는 것으로는 절대로 부족하다. 반드시 의심되는 해당 메일을 격리하고, 확인함으로써 발생할 수 있는 위협을 최소화시키는 것이 매우 중요하다. 따라서 단순히 이메일을 통한위협을 탐지만 하는 것은, 크게 도움이 된다고 할 수 없다(없는 것보다는 낫겠지만).

이메일을 통한, APT공격은 ‘목표’와 ‘목적’이 명확하고 치밀하다는 점에서 매우 위험한 위협이라는 것을 알 수가다. 또한, 이메일을 통한 공격은 첨부파일 형태의 공격뿐만 아니라, 본문내의 악의적인 URL들을이용한 방법까지 다양한 형태로 발전 및 진화하고 있다.

따라서 이메일을 통한 APT 대응 솔루션은 조직을 위협에서 방어할 수 있는 필수적인 조건이 되었다고 할 수 있고, 향후 다양하게 진화하는 보안위협에 능동적으로 대응하기 위한 보안요건이라고 할수 있다.

(김현준 파이어아이코리아 이사/hyunjun.kim@fireeye.com)

A-2. APT 공격은 대부분 특정 공격목표를 대상으로 하는 것이기 때문에 공격 대상의 시스템에 침투하기 위해 다양한 방법을 사용한다. 우선 이메일을 이용한 침투가 있을 수 있는데, 스피어피싱 기법이라고 알려져 있다.

해당 기업의 주요 인사 또는 직원을 대상으로 사회공학적 기법을 이용하여 E-mail 계정을 탈취하거나, 공격 대상자를 현혹할 수 있는 제목이나 내용을 메일도 보내면서 악성코드가 내장된 한글문서 등의 첨부파일을 실행하게 하는 것이다.

첨부파일을 실행하는 프로그램이 취약점이 있는 경우 악성코드가 PC에 다운로드되어 실행된다. 이때 백신이 악성코드를 탐지할 경우는 문제가 없지만 탐지하지 못할 경우 해킹에 악용된다. 이러한 스피어피싱 기법의 APT 공격을 막기 위해서는 아래와 같은 방법이 있다.

① 출처가 명확하지 않은 메일은 열람하지 않아야 한다. 모르는 사람으로부터 오는메일은 의심해야한다. 또한, 지인이 보낸 메일이라고 할지라도 제목과 내용을 살펴봐야 한다.

② 사용하는 PC 및 아래아 한글, MS Office와 같은 응용 프로그램을 항상 최신 버전으로 업데이트해야 한다. 악성코드가 내장된 첨부물이 실행되기 위해서는 해당 취약점이 악용되어야 하는데 패치가된 최신버전의 응용프로그램을 사용할 경우 악성코드가 실행되지 않는다.

③ 마지막으로 백신을 최신 버전으로 업데이트해야 한다. 설령 취약점이 있는 응용프로그램을 이용해 악성코드가 PC에 저장되고, 실행된다고 하더라도 백신을 통해 탐지 및 제거할 수 있다.

위 내용은 이용자 입장에서의 대응방법을 설명한 것으로, 기업의 보안담당자라면 APT 대응 시스템 도입, 관제 등을 통하여 기업 대상 APT 공격에 대응할 수 있다.

참고로 미국에서는 이용자가 해킹으로부터 자신을 지킬 수 있도록 Stop, Think, Connect 캠페인을 벌이고 있다. 이메일이나 인터넷 사이트에 접속할 때 ‘①우선 멈추고, ②한 번 더 생각하고 ③문제 없다고 판단되면 인터넷/이메일 등에 접속해 열람하라’ 이다.

(김민수 한국인터넷진흥원 취약점분석팀 주임연구원/gredmoon@kisa.or.kr)

A-3. 최근 지능형 공격(APT)의 주요 수단으로 사용되는 스피어피싱에 대응하기위하여 대부분의 이메일 보안 시스템을 무력화시키는 스피어피싱의 위협을 이해하고 조직을 이러한 지능형 공격으로부터 안전하게 보호할 수 있는 방안이 필요하다. 오늘날 이메일은 비즈니스를 수행하는 주요 수단이다.

이메일의 광범위한 사용과 수많은 위협을 차단하기 위한 다양한 보안조치에 도 불구하고 이메일은 여전히 매우 취약한 상태로 남아 주요 공격루트로 사용되고 있다. 기업을 대상으로 하는 가장 성공적인 공격의 일부는 ‘2013년 급여 지침’, ‘1분기 채용계획’ 및 ‘회의 일정 업데이트’등과 같은 제목에 첨부파일을 사용하는 것이다. 다른 성공적인 공격은 법원의 출두명령서 또는 소환장과 같은 두려움을 악용하기도 한다.

대응방법으로는 자동적으로 중요한 정보의 유출을 암시하는 패턴의 모니터, 중요한 데이터의 차단, 격리, 또는 암호화의 모든 아웃바운드 데이터의 분석이 있을 수 있으며, 조직은 데이터 유출 방지 및 정보의 흐름을 감시하기 위하여 테블릿 및 스마트 폰과 같은 데이터 액세스 장치에서 이메일 인프라 및 방어를 위한 추가적인 방안이 필요하다.

(왕재윤 한국산업기술보호협회 관제운영팀 연구원/jywang@kaits.or.kr)

[김경애 기자(boan3@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)